vii simpósio brasileiro em segurança da informação e de sistemas computacionais rj - brasil...
Post on 07-Apr-2016
218 Views
Preview:
TRANSCRIPT
VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Avaliação de Proteção contra Avaliação de Proteção contra Ataques de Negação de Serviço Ataques de Negação de Serviço
Distribuídos utilizando Lista de IPs Distribuídos utilizando Lista de IPs ConfiáveisConfiáveis
Luís Oliveira, Rafael Aschoff, Bruno Lins, Eduardo Feitosa, Djamel Sadok
{lemco,rra,bfol,elf,jamel}@cin.ufpe.br
Grupo de Pesquisa em Redes e Telecomunicações – GPRTCentro de Informática – CInUniversidade Federal de Pernambuco – UFPERecife – Pernambuco, Brasil
2VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
RoteiroRoteiroIntrodução Solução Proposta Avaliações e ResultadosConsiderações Finais
3VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
IntroduçãoIntroduçãoAumento crescente de ataques DDoSSofisticação das técnicas de ataquesSeveridade dos problemas causados
4VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
IntroduçãoIntroduçãoDiversas abordagens de defesa contra ataques DDoS
Filtros, rastreamento de ataques, análises estatísticas
ClassificaçãoSource-endVictim-endIntermediate
5VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
IntroduçãoIntroduçãoFlash crowds and denial of service attacks [Jaeyeon Jung]
A maioria dos endereços IP que aparecem em um evento flash crowd já apareceram anteriormenteEm contrapartida, apenas uma pequena parte de endereços IPs participantes em um ataque já efetuaram conexão com o servidor
6VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Solução Proposta – Trust IP List Solução Proposta – Trust IP List (TIL)(TIL)
Monitoração constante dos fluxos de entrada e saídaModelo de fluxos de dadosGuardar histórico de IPs legítimosPrivilegiar tráfego previamente conhecido
7VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Trust IP ListTrust IP List
8VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
ChkModelChkModelObservação e Classificação
Validar os IPs que chegam ao roteador Detectar ataques
Sockets e Conexões.
9VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
ChkModel - MChkModel - Módulo de observação ódulo de observação Monitora todo o tráfego de entrada e saída do roteadorModelo de fluxo gerado a partir de estudo da redeEstatísticas da comunicação cliente-servidor coletadas e armazenadas para fluxos e socketsDuas tabelas hash(sockets e conexões)Captura em tempo real e leitura de traces
10VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
ChkModel - Módulo de ChkModel - Módulo de classificação classificação
Compara as informações armazenadas pelo módulo de observação com os modelos de conexão e sockets legítimosTrabalha com três mensagens:
Mensagem de AtaqueMensagem de Estado NormalLista de Clientes
11VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
TIT (Trusted IP Table)TIT (Trusted IP Table)Módulo responsável pelo armazenamento e gerenciamento dos endereços IP confiáveis.IP+PortaTimestamp
12VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
TIT (Trusted IP Table)TIT (Trusted IP Table)
1. Interface de escuta
8. Armazenar dados na tabela
10. Atualizar timestamp e arquivo de configuração
13. Comparar IPs 14. Liberar lista de IPs
18. Enviar portas associadas
12. Estado de ataque
16. Remover IPs da tabela hash
3. Checar estado da rede
15. Requisição de remoção de Ips da tabela
17. Requisição de portas
2. Chegada de novos IPs
4. Estado normal
9. Desatualizada
5. Checar atualizações da tabela hash
6. Arquivo de configuração
7. Atualizada
11. Armazenamento
13VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Limitador de BandaLimitador de BandaEnforcementIPF (IP Filter)Política de esvaziamento da fila
14VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Avaliações e ResultadosAvaliações e Resultados14 dias contínuos compreendendo a última semana do mês de abril e a primeira semana do mês de maio de 2007 (25/04 a 08/05). 52 PCs desktops, 2 switches com 24 portas 10/100/1000 Mbps e 2 servidores (processador Athlon XP 4200+ 64bits, com 2Gbytes de RAM e 160Gbytes de HDD)
15VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Avaliações e ResultadosAvaliações e Resultados
16VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Avaliações e ResultadosAvaliações e ResultadosTráfego de Ataque
Script que emprega a ferramenta PackitTrês ataques TCP flooding por horaPacotes de 1 KbyteTaxa entre 500 e 20.000 pacotes por segundo
17VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Avaliações e ResultadosAvaliações e ResultadosMétricas de Avaliação
Consumo de processamento e memóriaIPs reincidentesEficácia
18VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Resultados [Resultados [Consumo de Consumo de Processamento e Memória Processamento e Memória ]]
0.0
0.5
1.0
1.5
2.0
2.5
3.0
3.5
4.0
4.5
5.0
25/4 26/4 27/4 28/4 29/4 30/4 1/5 2/5 3/5 4/5 5/5 6/5 7/5 8/5Tempo (em dias)
Con
sum
o (%
)
Processamento
Memória
19VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Resultados [Resultados [IPs ReincidentesIPs Reincidentes]]
0
2000
4000
6000
8000
10000
12000
26/4 27/4 28/4 29/4 30/4 1/5 2/5 3/5 4/5 5/5 6/5 7/5 8/5Tempo (em dias)
Núm
ero
de IP
s re
inci
dent
es
20VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Resultados [Resultados [EficáciaEficácia]]
0
10
20
30
40
50
60
70
15:34
:55
15:35
:20
15:35
:45
15:36
:10
15:36
:35
15:37
:00
15:37
:25
15:37
:50
15:38
:15
15:38
:40
15:39
:05
15:39
:30
15:39
:55
15:40
:20
15:40
:45
15:41
:10
15:41
:35
15:42
:00
15:42
:25
Tempo (em segundos) - Dia 08/05
Paco
tes
Rece
bido
s (x
1000
) Tráfego não Classificado
Tráfego Confiável
21VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
ConclusãoConclusão
Para os cenários avaliados, a eficácia foi de aproximadamente 76% Baixo consumo dos recursos do sistemaContudo, usuários “legítimos” podem ser penalizados
22VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Trabalhos FuturosTrabalhos FuturosEstender a capacidade de análise e classificação do ChkModel para o protocolo UDP e ICMPNovos cenários ainda necessitam ser avaliados para comprovar a eficiência da solução propostaComparar com as outras soluções existentes
VII Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais RJ - Brasil
Avaliação de Proteção contra Avaliação de Proteção contra Ataques de Negação de Serviço Ataques de Negação de Serviço
Distribuídos utilizando Lista de IPs Distribuídos utilizando Lista de IPs ConfiáveisConfiáveis
Luís Oliveira, Rafael Aschoff, Bruno Lins, Eduardo Feitosa, Djamel Sadok
{lemco,rra,bfol,elf,jamel}@cin.ufpe.br
Grupo de Pesquisa em Redes e Telecomunicações – GPRTCentro de Informática – CInUniversidade Federal de Pernambuco – UFPERecife – Pernambuco, Brasil
top related